[发明专利]一种面向深度神经网络的高隐蔽性对抗性图像攻击方法

摘要

本发明公开了一种面向深度神经网络的高隐蔽性的对抗性图像攻击方法，对抗性图像是一种向原始图像中引入恶意噪声使得神经网络模型错误分类的一种攻击手段。相较以往的攻击方法利用Lp范式距离来衡量噪声大小，会产生可见噪点，本方法根据人眼对图像局部刺激的敏感程度来自适应地引入噪声，使得对抗性图像与原始图人眼不可区分，提高了攻击方法的隐蔽性。此外，本方法介绍了一种人眼感知模型来刻画人眼对图像像素值的感知冗余。为了更好的衡量人眼对对抗性图像的感知能力，本方法介绍了一种引入噪声大小的衡量指标，并作为正则项加入到优化目标中，自适应地调整噪声的分布。

主权项

1.一种面向深度神经网络的高隐蔽性对抗性图像攻击方法，其特征在于，包含如下步骤：步骤1、给定一个目标分类神经网络，假定攻击者拥有对目标模型的白盒访问权限，并设定目标类别t；步骤2、为了衡量人眼对图像中不同像素点的感知冗余，引入一种新的感知模型，根据图像的亮度掩盖、纹理掩盖效应来刻画，计算出图像中单个像素值在RGB三个通道中的感知冗余；步骤3、为了衡量对抗性图像的感知误差，提出一种带权重的误差测量方法，首先计算每个像素的感知冗余，其倒数为每个像素的权重，然后计算噪声矩阵带权重的Lp范式距离，得到感知误差；这个距离越大，感知误差就越大；步骤4、基于目标函数：min JND_p(δ)+c·loss(x+δ,t)构建合成对抗性图像的目标函数，以感知误差作为正则项，最终合成对抗性图像；JND_p(δ)表示噪声的感知误差，loss(x+δ,t)表示噪声图x+δ的分类结果与分类目标的差异，c为权重参数。